Специалисты компании VDOO продолжают заниматься изучением безопасности камер наблюдения, в рамках внутреннего проекта Project Vizavis. На этот раз исследователи обнаружили серьезные проблемы в устройствах шведской компании Axis Communications.
В своем докладе, к которому приложен proof-of-concept эксплоит, эксперты подробно описывают семь уязвимостей. Будучи использованы вместе, они позволяют удаленному атакующему полностью перехватить контроль над проблемным устройством:
- CVE-2018-10658 — отказ в работе процесса /bin/ssid;
- CVE-2018-10659 — отказ в работе процесса /bin/ssid;
- CVE-2018-10660 — shell-инъекция;
- CVE-2018-10661 — обход авторизации;
- CVE-2018-10662 — неограниченный доступ dbus для пользователей функциональности .srv;
- CVE-2018-10663 — утечка данных в процессе /bin/ssid;
- CVE-2018-10664 — отказ в работе процесса httpd.
В VDOO подчеркивают: узнав IP-адрес камеры, атакующие имеют возможность получить доступ к стриму с камеры, остановить его, заставить датчики движения «ослепнуть», подменить прошивку, сделать устройство частью ботнета, а затем использовать для DDoS-атак, майнинга и так далее. Пока, по данным VDOO, попыток эксплуатации обнаруженных проблем зафиксировано не было.
К счастью, в отличие от многих других производителей, представители Axis Communications отреагировали на предупреждение специалистов и уже выпустили патчи для всех уязвимых устройств. Кроме того, компания опубликовала список уязвимых моделей камер и прошивок (PDF).
Учитывая, что новые эксплоиты для IoT-устройств очень быстро берут на вооружение ботнеты, пользователям рекомендуется установить обновления как можно скорее.
